Zusammenfassung

  • Am 18. September 2026 billigte ARINs Board das Projekt Registry Control Plane mit 10:0 Stimmen und ermächtigte den CEO zu einem Vertrag bis zu fünf Millionen Dollar; dafür sollen langfristige Reserven herangezogen werden.
  • Auslöser war unter anderem ein Fehler von Dezember 2025: Ein /24 und sein ROA verschwanden aus den Daten des ursprünglichen Inhabers. Ein externer Prüfer hatte das alte System anhand von zehn künftigen Kriterien bewertet; die geprüften öffentlichen Protokolle veröffentlichen die Einzelkriterien und Abnahmetests nicht.

Eine Reserve kann man auf einem Kontoauszug lesen. Den Schutz eines Nummernregisters erkennt man erst dann, wenn ein riskanter Vorgang an einer verlässlichen Kontrolle scheitert oder sich nach einem Fehler sauber rückgängig machen lässt. ARIN hat Geld für diesen Schutz freigegeben. Ein Kontoauszug allein wird den Erfolg nicht beweisen.

Im Board-Protokoll vom 18. September steht der Beschluss, den Registry Control Plane zu genehmigen und den CEO mit einem Vertragsabschluss bis zur Obergrenze von fünf Millionen Dollar zu beauftragen. Eine Entnahme aus langfristigen Reserven wird ausdrücklich genannt. Alle zehn Stimmen waren dafür. Die Belegschaft stellte einen Zeitplan von 18 Monaten vor. Der CEO erklärte, warum ein Start im Oktober Ausgaben außerhalb des laufenden Budgets ausgelöst hätte und eine Bewilligung für die Vertragsdauer nötig sei. Die Entscheidung ist eine Ermächtigung mit Obergrenze; unterschriebene Vertragssumme und tatsächliche Entnahme nennt sie nicht.

Warum das Vorhaben nötig ist, lässt sich an ARINs Vorfallbericht von Dezember 2025 ablesen. Bei einer Zuteilung nach Regel 4.10 wurde ein /24 irrtümlich dem ursprünglichen Kunden entzogen und einem anderen zugeteilt. Der ursprüngliche Registereintrag und sein ROA wurden gelöscht. Etwa sieben Tage blieb der falsche Zustand bestehen, bis der erste Kunde Alarm schlug. ARIN erhielt von ihm keine technische Schadensmeldung. Die beobachtete Schwäche ist trotzdem präzise: Ein interner Vorgang konnte Registrierungsdaten und eine Routing-Sicherheitsbehauptung gemeinsam verändern.

Das vorläufige Protokoll der Augustsitzung schildert einen externen Prüfer, der die damaligen Systeme nach zehn vom Board definierten Zukunftskriterien jeweils mit bestanden oder nicht bestanden bewertete. Mitglieder verlangten einen feineren Zeitplan, Liefergegenstände und laufende Berichte. Eine weitere Prüfung nach dem Umbau stand im Raum. Welche zehn Kriterien galten und wie jedes zunächst abschnitt, verrät das veröffentlichte Protokoll nicht. Damit fehlt die öffentliche Linie von der gemessenen Schwachstelle über die bezahlte Abhilfe zum nachgeprüften Zustand.

Die Finanzierung ist mehr als eine Frage freier Mittel. Laut offiziellem Rückblick auf ARIN 58 verfügte ARIN im August 2026 über Investitionen von 38,5 Millionen Dollar bei einem Ziel für die operative Reserve von 26 Millionen. Der kumulierte operative Fehlbetrag betrug 0,5 Millionen. Bis zum angestrebten Haushaltsausgleich 2030 sollen zwischenzeitliche Defizite aus Investitionen gedeckt werden; jährliche RSP-Preiserhöhungen von bis zu fünf Prozent gehören zum Plan. Diese Augustzahlen sind kein Beleg, dass die im September bewilligten fünf Millionen bereits abgeflossen sind. Sie zeigen, dass derselbe Kapitalstock laufende Stabilität und Umbau finanzieren soll.

Selbst die Lieferform wurde diskutiert. Chris Tacit fragte, ob die Pflicht zu Personal vor Ort den Kreis der Anbieter unnötig verenge. Der CEO begründete sie mit dem Risiko von Registerfehlern und der engen Zusammenarbeit mit ARINs Entwicklungsteams. Räumliche Nähe kann helfen. Ein bestandenes Kontrollziel ist sie nicht.

John Curran hatte im Protokoll von ARIN 57 mehrere Systeme beschrieben, die ohne einen gemeinsamen Ort für Geschäftsregeln direkt auf die Datenbank zugreifen. Daraus folgen konkrete Prüfungen: Kommt ein heikler Eintrag an denselben Regeln vorbei? Lassen sich Berechtigung, alter Wert, neuer Wert und Freigabe nachvollziehen? Wird ein widersprechendes ROA erkannt und zurückgesetzt? Ein veröffentlichtes Prüfraster könnte für jedes Kriterium Ausgangswert, Änderung, Wiederholungsprüfung und Restfehler nennen, ohne sicherheitskritische Details offenzulegen.

ARIN hat einen finanziellen Deckel gesetzt. Ob darunter ein robusteres Register entsteht, lässt sich nur mit einem gleich sorgfältigen technischen Abnahmeprotokoll beurteilen. Das ist der Beleg, den Ressourceninhaber nach der Abstimmung brauchen.